URS per generatori VHP fissi: dati che i team di ingegneria devono definire

Un generatore VHP fisso che serve più locali o camere svolge esclusivamente la funzione definita dal progetto prima della stesura del capitolato. Una volta selezionata e installata l’apparecchiatura, il ciclo di trattamento da essa fornito è vincolato a quanto descritto nell’URS, e non alle esigenze che il locale o il processo potrebbero avere in seguito. I team di ingegneri che redigono questo documento stabiliscono di fatto i limiti entro i quali può essere vincolata qualsiasi offerta.

Inizia dalle stanze, dai carichi e dall’attività di decontaminazione prevista

Un generatore VHP fisso non decontamina uno spazio generico. Tratta un ambiente ben definito, in condizioni operative ben definite, con un carico ben definito, per uno scopo ben definito, con un percorso di uscita ben definito attraverso l’aerazione e il rilascio. Ciascuno di questi elementi influisce su ciò che un fornitore può proporre in modo credibile, e modificarne uno senza gli altri porta a una specifica che non potrà essere verificata in seguito.

La definizione del locale trattato è importante perché un singolo generatore può servire una sola stanza o diversi spazi interconnessi, e la prestazione richiesta varia a seconda che il progetto riguardi una camera di isolamento, uno spazio di trasferimento o una serie di stanze collegate tra loro. Assegnare un nome specifico a ciascun locale, anziché descrivere l’installazione in termini generici, garantisce che la prestazione offerta corrisponda effettivamente a quanto sarà certificato.

Lo stato operativo è una variabile distinta dal locale stesso. Lo stesso locale decontaminato a riposo presenta un carico e una difficoltà di penetrazione diversi rispetto allo stesso locale con apparecchiature di processo installate, porte aperte verso spazi adiacenti o un sistema di trattamento dell’aria configurato in modo specifico. Laddove l’URS non specifichi lo stato operativo per ciascun locale trattato, due fornitori possono proporre cicli funzionalmente diversi pur sembrando soddisfare lo stesso requisito.

Il carico rappresentativo deriva direttamente dalle condizioni operative. Un ciclo convalidato su un involucro vuoto non garantisce le prestazioni rispetto al carico che l’involucro dovrà effettivamente sostenere durante l’uso in produzione. Se il progetto modifica il carico rappresentativo dopo la presentazione delle offerte, cambiano di conseguenza anche i presupposti di progettazione del fornitore e i confronti effettuati sulla base dei presupposti precedenti non sono più validi.

Lo scopo del processo dovrebbe essere indicato esplicitamente, anziché essere dedotto dal contesto. Un’operazione di decontaminazione volta a consentire il rientro del personale comporta aspettative diverse rispetto a quella volta a facilitare il trasferimento di materiali o il ricambio degli ambienti tra una campagna e l’altra, e lo scopo indicato dovrebbe essere in linea con la definizione di “accettabilità” che verrà successivamente stabilita dal progetto.

L’aerazione e la liberazione completano la definizione dell’intervento. Un ciclo di trattamento privo di un percorso definito per l’eliminazione del perossido di idrogeno residuo e di una base definita per dichiarare lo spazio liberato lascia la seconda parte dell’intervento non specificata. A seconda che il percorso di liberazione avvenga attraverso l’impianto HVAC esistente, tramite apparecchiature di aerazione dedicate o attraverso un percorso di scarico diverso, la capacità richiesta del generatore e la sequenza di controllo cambiano di conseguenza. Ciascuno di questi cinque elementi dovrebbe essere definito per ogni locale trattato prima che il progetto passi alle interfacce con le utenze e la distribuzione, poiché ogni decisione relativa alle interfacce a valle dipende dalla definizione preliminare del compito.

Definire le interfacce di utilità e distribuzione senza nascondere le lacune nell'ambito di applicazione

Una volta definito il compito, l’URS deve descrivere in che modo il generatore si collega all’impianto, ed è proprio in questa fase che i confini dell’ambito di applicazione vengono spesso lasciati impliciti anziché espressi esplicitamente. Un generatore VHP fisso richiede alimentazione elettrica, una fornitura di perossido di idrogeno e un metodo definito per la sua gestione, un percorso per la distribuzione del vapore all’area trattata, un percorso di scarico, nonché le serrande, i sensori e gli accessi di manutenzione necessari per il funzionamento e la manutenzione del sistema. Nessuno di questi elementi deve essere considerato, per impostazione predefinita, come rientrante o non rientrante nell’ambito di competenza del fornitore dell’apparecchiatura.

Le tubazioni o i condotti di distribuzione che collegano il generatore al locale, così come qualsiasi utilizzo condiviso dell’infrastruttura HVAC esistente per la distribuzione o lo scarico, si collocano su un confine di interfaccia naturale. Laddove il progetto preveda di convogliare il vapore attraverso i condotti esistenti, le URS dovrebbero indicare chiaramente tale intenzione anziché lasciare che sia il fornitore a dedurla, poiché sia la progettazione della distribuzione del generatore che quella dell’impianto HVAC della struttura dipendono da quale parte di tale interfaccia spetta a ciascuna delle parti. Lo stesso vale per lo scarico: il fatto che il generatore scarichi in un percorso dedicato o condivida un sistema di scarico esistente modifica ciò che il team della struttura deve fornire e ciò che il fornitore dell’apparecchiatura deve accettare come condizione al contorno.

Le serrande e i sensori si trovano proprio su questa linea di interfaccia. Il controllo delle serrande può far parte del sistema di controllo del generatore, del sistema di gestione dell’edificio oppure essere suddiviso tra i due, a seconda di come il progetto definisce le responsabilità; le URS dovrebbero specificare quale delle tre condizioni si applica, anziché lasciare che la questione della titolarità delle serrande venga risolta durante la messa in servizio. Il posizionamento dei sensori destinati a confermare i parametri di ciclo all’interno dell’involucro trattato, a differenza dei sensori che monitorano il generatore stesso, dovrebbe essere identificato in base alla posizione e alla funzione, in modo che la distinzione tra la strumentazione lato apparecchiatura e quella lato impianto sia tracciabile.

L’accesso ai servizi è un’interfaccia tanto fisica quanto di controllo. Laddove il generatore, la sua alimentazione di perossido di idrogeno o i suoi componenti di distribuzione richiedano un accesso per la manutenzione, l’URS dovrebbe specificare le condizioni di accesso che l’impianto fornirà, poiché sia il posizionamento delle apparecchiature che la disposizione dell’impianto ne sono vincolati. Tralasciare di specificare una qualsiasi di queste interfacce non elimina il problema relativo all’ambito di applicazione, ma lo rinvia a una fase del progetto in cui risolverlo costerà di più di quanto sarebbe costato definirlo.

Specificare gli stati dei comandi, i blocchi di sicurezza, gli allarmi e i requisiti relativi ai dati

I requisiti di controllo dovrebbero essere definiti in base a ciò che è effettivamente rilevante ai fini delle GMP per il progetto, senza essere applicati in modo uniforme a tutti i segnali che il sistema è in grado di generare. Il sistema di controllo di un generatore VHP fisso può produrre segnali di autorizzazione, interblocchi, allarmi, restrizioni di accesso degli utenti, dati archiviati e segnali destinati a un sistema di gestione dell’edificio; ciascuna di queste categorie ha un peso diverso a seconda di ciò che il progetto deve dimostrare.

Le condizioni permissive e gli interblocchi determinano se un ciclo può iniziare o deve interrompersi; il progetto deve specificare quali condizioni devono essere soddisfatte prima dell’inizio del trattamento e quali condizioni, durante il trattamento, richiedono l’interruzione del ciclo. Laddove un interblocco colleghi il funzionamento del generatore alla posizione di una porta, allo stato di una serranda o alla condizione di un locale adiacente, tale relazione deve essere indicata nell’URS come condizione definita, senza lasciarla al comportamento predefinito del sistema di controllo.

Anche per gli allarmi è necessario operare una distinzione analoga tra ciò che ha carattere informativo e ciò che richiede una risposta specifica. Non tutti gli allarmi generati da un generatore comportano le stesse conseguenze, e il progetto dovrebbe specificare quali allarmi richiedono un intervento da parte dell’operatore, quali richiedono una segnalazione documentata e quali hanno solo carattere informativo.

L'accesso degli utenti e la conservazione dei dati assumono rilevanza ai fini delle GMP qualora i dati siano a supporto del rilascio dei lotti, dell'analisi delle deviazioni o dei requisiti relativi alla tracciabilità ai sensi di Il quadro di riferimento del sistema informatizzato dell’Allegato 11, che richiede una validazione basata sul rischio dei requisiti utente e dei controlli relativi alle tracce di audit, ai dati archiviati, ai backup e agli accessi. L’ambito di applicazione dell’Allegato 11 segue il rischio documentato anziché estendersi automaticamente a ogni evento della struttura che il sistema di controllo è in grado di registrare; laddove un dato non sia a sostegno di una decisione in materia di GMP, trattarlo con lo stesso rigore dei dati che lo sono aggiunge un onere di controllo senza fornire maggiore garanzia. Il progetto dovrebbe identificare quali segnali, allarmi e registrazioni abbiano rilevanza ai fini delle GMP e quali no, e redigere l’URS di conseguenza, anziché richiedere il massimo rigore di convalida su ogni singolo segnale disponibile.

I segnali del sistema di gestione dell'edificio (BMS) si collocano al confine tra il sistema di controllo proprio del generatore e il sistema di monitoraggio più ampio dell'impianto. È necessario specificare esplicitamente se un determinato segnale abbia valore informativo per il BMS o faccia parte di una documentazione rilevante ai fini delle GMP, poiché ciò determina se tale segnale richieda in seguito la stessa documentazione di qualificazione prevista per le funzioni di controllo principali del generatore.

Collegare ciascun requisito URS alle prove relative a FAT, SAT, IQ e OQ

A Requisiti URS una disposizione che non sia riconducibile a una fase di verifica è difficile da far rispettare in seguito, indipendentemente da quanto chiaramente sia stata formulata. Allegato 15 collega le specifiche dei requisiti dell’utente alla qualificazione del progetto, consente di effettuare collaudi di accettazione in fabbrica da parte dei fornitori, debitamente giustificati e integrati da collaudi di accettazione in loco, e distingue la documentazione relativa alla qualificazione dell’installazione da quella relativa alla qualificazione operativa, il tutto secondo protocolli approvati con criteri di accettazione predefiniti e scostamenti documentati. L’applicazione di tale struttura a un generatore VHP fisso implica che ogni requisito applicabile delle sezioni precedenti debba trovare una collocazione ben definita in questa catena di prove prima che il progetto passi alla fase di confronto delle offerte.

La revisione del progetto rappresenta il primo punto di controllo e dovrebbe garantire che le funzioni specificate, le interfacce e i requisiti di controllo siano effettivamente integrati nel progetto proposto prima che venga eseguita qualsiasi prova fisica. Un requisito che compare per la prima volta solo in fase di FAT ha di fatto aggirato la revisione del progetto, e qualsiasi lacuna individuata in quella fase comporta costi di risoluzione maggiori rispetto a una individuata in precedenza.

I test FAT e SAT ripartiscono la responsabilità tra la verifica presso la sede del fornitore e quella presso il sito di installazione. Laddove un requisito possa essere testato in modo significativo presso la sede del fornitore, utilizzando una configurazione di prova giustificata, la documentazione del test FAT può soddisfarlo; laddove il requisito dipenda dalle interfacce effettivamente installate, come un percorso di distribuzione collegato all’involucro reale o un interblocco collegato alla serranda effettiva dell’impianto, la documentazione del test SAT ne costituisce invece la prova. Il progetto dovrebbe specificare quali requisiti appartengono a quale fase, anziché dare per scontato che il FAT da solo sia sufficiente a coprire tutto.

L'IQ e l'OQ rimangono tipi distinti di prova ai sensi dell'Allegato 15, e confonderli crea ambiguità su ciò che è stato effettivamente dimostrato. La qualificazione dell'installazione conferma che il sistema è installato come specificato; la qualificazione operativa conferma che funziona come specificato nell'intero intervallo previsto. Un comando di abilitazione o un interblocco indicato nell'URS dovrebbe essere riconducibile all'una o all'altra, non a una dichiarazione di qualificazione generica che non specifica quale delle due.

Ogni attività di verifica pianificata in relazione a queste fasi deve essere svolta secondo un protocollo approvato, con un criterio di accettazione predefinito e specifico del progetto, e qualsiasi scostamento derivante da tale attività deve essere documentato in riferimento allo stesso criterio. È proprio nell’ambito di questo lavoro di tracciabilità che le informazioni di progetto fornite a un fornitore di generatori, inclusi i compiti definiti, le interfacce e i requisiti di controllo indicati nelle sezioni precedenti, confluiscono nella revisione della configurazione e dell’offerta da parte di tale fornitore, poiché il fornitore non può proporre prove concrete relative al FAT oppure un progetto di controllo analogo senza aver prima verificato come il progetto abbia definito tali limiti.

Definizione dei presupposti di offerta e delle responsabilità relative all’accettazione del progetto

Le sezioni precedenti definiscono una catena: un compito ben definito per ciascun ambito, interfacce ben definite con l’indicazione dei responsabili, requisiti di controllo adeguati all’effettiva rilevanza in termini di GMP e tracciabilità di ciascun requisito fino a una fase di verifica. Il confronto delle offerte si basa sul fatto che ogni fornitore risponda a questa stessa catena, anziché colmare le lacune con ipotesi diverse.

Laddove l’URS non definisca un elemento, un fornitore che proponga un generatore VHP fisso, come ad esempio il Unità di tipo I I prodotti offerti in questa categoria di apparecchiature colmeranno in genere tale lacuna basandosi su un'ipotesi adeguata alla loro configurazione standard, piuttosto che sulle condizioni effettive del progetto. Ciò non costituisce un difetto dell'offerta del fornitore, ma è una conseguenza di un requisito incompleto. Il progetto dovrebbe considerare qualsiasi ambito in cui le offerte differiscano in modo sostanziale come un segnale che l'URS ha lasciato aperto quell'elemento, piuttosto che considerare automaticamente corretta l'offerta più bassa o più completa.

La responsabilità dei criteri di accettazione dovrebbe rimanere di competenza del progetto per tutta la sua durata, in linea con il principio dei criteri predefiniti che caratterizza la revisione del progetto, il FAT, il SAT, l’IQ e l’OQ. Un fornitore può proporre metodi di prova e dimostrare che le proprie apparecchiature soddisfano un criterio specificato, ma il criterio stesso, così come la decisione di accettare o rifiutare le prove a suo sostegno, spetta al progetto. Laddove tale responsabilità non sia chiara, i criteri di prova interni del fornitore possono essere scambiati per gli standard di accettazione del progetto, il che indebolisce la posizione del progetto qualora una deviazione richieda successivamente una giustificazione.

La titolarità delle interfacce, già definita in precedenza per l’alimentazione elettrica, l’approvvigionamento e la gestione del perossido di idrogeno, la distribuzione, lo scarico, le serrande, i sensori e l’accesso per la manutenzione, dovrebbe essere confermata esplicitamente nelle ipotesi di gara, per singolo locale, anziché essere lasciata come una dichiarazione generica sull’ambito di applicazione. Una dichiarazione generica secondo cui il fornitore fornisce “il generatore e le interfacce standard” non chiarisce quale parte sia titolare di una specifica serranda o di un specifico collegamento di scarico in un determinato locale.

Qualora il progetto non abbia ancora definito le modalità di qualificazione dello stato operativo, del carico o del percorso di rilascio di un determinato involucro, tale lacuna dovrebbe essere indicata nella richiesta di offerta, anziché lasciare che siano i fornitori che rispondono a interpretarla autonomamente, poiché l’interpretazione di ciascun fornitore costituisce una base diversa e non comparabile per il preventivo risultante.

Domande frequenti

Q: In che modo i team di ingegneri possono confrontare le offerte fisse relative ai generatori VHP quando i fornitori definiscono in modo diverso l'ambito delle interfacce?
A: Normalizzare ogni offerta in base allo stesso elenco di interfacce prima di procedere al confronto. Per quanto riguarda l’alimentazione elettrica, la fornitura e la gestione del perossido di idrogeno, le tubazioni di distribuzione o il collegamento al sistema HVAC, gli scarichi, le serrande, i sensori e gli accessi di manutenzione, registrare le ipotesi del fornitore e identificare eventuali voci la cui titolarità rimanga indefinita.

Q: Cosa dovrebbe indicare l'URS se il carico finale della sala non è ancora stato confermato?
A: Definire il carico rappresentativo utilizzato ai fini della richiesta di offerta (RFQ) e precisare che si tratta di un termine di riferimento per il confronto e non di una condizione definitiva confermata. Il team potrà così individuare quali decisioni successive relative al carico richiederebbero una revisione del trattamento proposto.

Q: In che modo il progetto dovrebbe stabilire quali requisiti relativi ai controlli e ai dati siano rilevanti ai fini delle GMP?
A: Classificare ogni stato di controllo, allarme, interblocco, regola di accesso degli utenti, registrazione archiviata e segnale BMS in base al suo ruolo effettivo nel processo e al rischio documentato. Utilizzare tale classificazione per definire i requisiti applicabili in materia di accesso, conservazione, tracciabilità, backup e convalida, anziché trattare tutti gli eventi della struttura allo stesso modo.

Q: Le prove FAT superate con esito positivo possono sostituire le prove in loco o le prove di qualificazione?
A: Non come regola generale. Il progetto può avvalersi della documentazione relativa al FAT fornita dal fornitore, purché pertinente ai requisiti applicabili, ma deve comunque identificare separatamente la documentazione richiesta relativa a SAT, IQ e OQ e applicare i protocolli approvati e i criteri di accettazione predefiniti dal progetto nella fase pertinente.

Q: Cosa rende verificabile il requisito URS relativo a un generatore VHP fisso?
A: Un requisito verificabile collega la condizione richiesta a una fase di verifica pianificata e a un criterio di accettazione predefinito di competenza del progetto. Dovrebbe inoltre specificare in che modo verranno documentate le eventuali deviazioni, in modo che la prova finale sia riconducibile al requisito originale.